H3C S3600 与ACS配合做tacacs认证的典型配置

 

一、  组网需求：

需要对登录交换机的telnet管理用户经过ACS的tacacs认证以确认其合法性。ACS Server和交换机之间只要路由通即可，无特殊要求。

二、  组网图：

    

三、  配置步骤：

1. ACS 侧配置

(1)    进入主界面

    

   

(2)    创建AAA Clients

    点击Network Configuration

    

    点击“Add Entry”

    

输入“AAA Client Hostname”，添加“AAA Client IP Address”，设置“Key”，在“Authenticate Using”列表中选择认证使用的协议为“TACACS+(Cisco IOS)”，点击“Submit+Restart”创建完毕，以后可以根据需要在“AAA Client IP Address”中添加IP，无需再次创建。此处的AAA Client IP Address 即为我们平常所说的NAS IP。

列表中可以看到新建的客户端的相关信息

(3)    配置Group

点击“Group Setup”

    

从Group列表中选择要编辑的group 1，点击“Edit Settings”

    

在“Jump To”列表中选择“TACACS+”即可直接跳到TACACS+属性的设置界面

    

勾选Shell(exec) 和 Privilege level 并在Privilege level中填入允许用户拥有的权限，可填范围为0-15(其中3-15对应我司设备的level 3权限)。

然后点击Submit+Restart来提交生效。

(4)    创建用户

点击“User Setup”

    

输入要创建的用户名“h3c”，点击“Add/Edit”，进入编辑画面,

填写Real Name 和Description以及密码信息

    

选择用户所属的组Group 1，点击Submit

    

2. 设备侧配置

(1)          配置hwtacacs

       [H3C]hwtacacs scheme acs

       [H3C-hwtacacs-acs] primary authentication 1.1.1.4

       [H3C-hwtacacs-acs] primary authorization 1.1.1.4

       [H3C-hwtacacs-acs] primary accounting 1.1.1.4 

       [H3C-hwtacacs-acs] key authentication h3c

       [H3C-hwtacacs-acs] key authorization h3c

       [H3C-hwtacacs-acs] key accounting h3c

       [H3C-hwtacacs-acs] user-name-format without-domain 

(2)          配置domain

       [H3C]domain acs

       [H3C-isp-acs] scheme hwtacacs-scheme acs

(3)          配置默认domain

       [H3C] domain default enable acs  

(4)                      配置user-interface

       [H3C]  user-interface vty 0 4

       [H3C-ui-vty0-4]   authentication-mode scheme 

       [H3C-ui-vty0-4]   accounting commands scheme  

四、  配置关键点：

(1)  ACS上AAA Client IP配置的是设备的NAS IP

(2)  AAA Client配置的key值需要与设备上hwtacacs配置的key保持一致

(3)  用户名是否携带域名可以按照需要配置，但要注意的就是携带域名的时候，ACS上配置的用户名也得携带域名.